گروه باج‌افزار کاکتوس (Cactus)، نامی که اخیراً با کنجکاوی در سراسر حوزه امنیت سایبری زمزمه می‌شود، از سایه‌ها بیرون‌آمده و حسابی سروصدا به پا کرده است. این بازیگر تهدید به‌دقت باج‌افزار خود را ساخته است تا نه تنها رمزگذاری کند، بلکه خود را در تاروپود امنیت دیجیتال درگیر کند و با ظرافتی که مستلزم بررسی دقیق‌تر است، از شناسایی فرار کند. Cactus با استفاده از یک تکنیک رمزگذاری منحصربه‌فرد که خود باج‌افزار باینری را رمزگذاری میکند، تضمین میکند که تلاش‌های مخرب آن توسط راه‌حل‌های آنتی‌ویروس شناسایی نمی‌شود و به آن اجازه می‌دهد در سیستم‌های آسیب‌دیده منتشر شود و دسترسی خود را حفظ کند.
گروه باج‌افزار Cactus که برای اولین‌بار در مارس 2023 شناسایی شد، به سرعت باج افزار خود را در سراسر حوزه دیجیتال گسترش داد و از آسیب‌پذیری‌ها، به‌ویژه در VPN ها، برای دسترسی غیرمجاز و ایجاد Persistence در زیرساخت‌های در معرض خطر سوء استفاده کرد. این گروه با استفاده از یک رویکرد پویا برای رمزگذاری و استفاده از بسیاری از ابزارها و تکنیک ها برای اطمینان از اینکه Payload خود به طور موثر و پنهان تحویل داده می شود، درک پیچیده ای از تکنیک های فرار نشان داده است. Cactus فقط در رمزگذاری متوقف نمی شود و از چندین لایه مبهم سازی برای پنهان کردن فعالیت‌هایش استفاده میکند. با استفاده از بسته‌بندی UPX و استفاده از الگوریتم‌های رمزگذاری مانند OpenSSL ، AES OCB، و ChaCha20_Poly1305 گرفته تا سازمان‌دهی اجراهای راه‌اندازی مجدد و Enumeration شبکه و … سعی در پنهان ماندن از دید آنتی ویروس ها دارد. Cactus رویکردی چندوجهی را برای حملات خود نشان می‌دهد، باج‌افزار Cactus از آسیب‌پذیری‌ها در دستگاه‌های VPN سوء استفاده میکند و یک مسیر مخفی به زیرساخت هدف هموار میکند. دسترسی اولیه با بهره‌برداری از آسیب‌پذیری‌های VPN و به دنبال آن ایجاد یک SSH Backdoor نشان داده می‌شود که نه تنها دسترسی غیرمجاز را تسهیل میکند، بلکه باعث ایجاد دسترسی دائم در صورت شناسایی نشدن در شبکه را می دهد. پس از دسترسی اولیه با استفاده از ابزارهای دسترسی از راه دور مانند Splashtop یا Anydesk با مهاجم ارتباط برقرار میکند سپس مهاجم با استفاده از Cobalt Strike پیلود ها و کامند های خود را اجرا میکند. در مرحله آخر پس از به دست آوردن اطلاعات و دیتا شروع به استخراج این اطلاعات از شبکه قربانی می کند. بخش‌هایی که توسط گروه باج‌افزار Cactus مورد هدف قرار گرفته‌اند، به همان اندازه که متعدد هستند متنوع هستند. از نهادهای مالی گرفته تا شرکت‌های حقوقی، اما بیشتر این گروه سازمان هایی را هدف قرار می دهد که در زمینه تولید و خدمات حرفه ای فعالیت می کنند. همچنین هدف اصلی این گروه کشور آمریکا بوده اما کشورهایی مانند کانادا، استرالیا، فرانسه و ایتالیا نیز مورد نفوذ این گروه قرار گرفته اند.
راه هایی برای کاهش این خطر پذیری
- به‌روز نگه‌داشتن VPN های مورد استفاده
- نظارت بر ابزارهای دسترسی از راه دور
- عدم استفاده از VPN های نامعتبر
- نظارت بر پروسس‌های اجرا شده در سیستم
روش های تشخیص این حمله
در صورت استفاده از سیستم شناسایی و پاسخ در نقاط پایانی هوپان (EDR) که یکی از اساسی ترین ماژول های راهکار گسترده شناسایی و پاسخ نخجیرپان (XDR) می‌باشد، تحلیل فعالیت های مرتبط و هشدارهای زیر مشاهده می گردد:
- مشاهده پروسس‌های مشکوک در حال اجرا
- مشاهده ترافیک غیرعادی در شبکه
- شناسایی رفتار بدافزار و باج‌افزار
این تهدید از تکنیک های زیر که در جدول مایتر اتک موجود می باشد استفاده نموده است.
| Initial Access | Execution | Persistence | Privilege Escalation | Defense Evasion | Credential Access | Discovery | Lateral Movement | Collection | Command And Control | Exfiltration | Impact |
| Drive-by Compromise | AppleScript | .bash_profile and .bashrc | Access Token Manipulation | Access Token Manipulation | Account Manipulation | Account Discovery | AppleScript | Audio Capture | Commonly Used Port | Automated Exfiltration | Account Access Removal |
| Exploit Public-Facing Application | CMSTP | Accessibility Features | Accessibility Features | Binary Padding | Bash History | Application Window Discovery | Application Deployment Software | Automated Collection | Communication Through Removable Media | Data Compressed | Data Destruction |
| External Remote Services | Command-Line Interface | Account Manipulation | AppCert DLLs | BITS Jobs | Brute Force | Browser Bookmark Discovery | Component Object Model and Distributed COM | Clipboard Data | Connection Proxy | Data Encrypted | Data Encrypted for Impact |
| Hardware Additions | Command and Scripting Interpreter | AppCert DLLs | AppInit DLLs | Bypass User Account Control | Credential from Password Stores | Domain Account | Exploitation of Remote Services | Data from Information Repositories | Custom Command and Control Protocol | Data Transfer Size Limits | Defacement |
| Replication Through Removable Media | Component Object Model and Distributed COM | AppInit DLLs | Application Shimming | Clear Command History | Credentials from Web Browsers | File and Directory Discovery | Internal Spearphishing | Data from Local System | Custom Cryptographic Protocol | Exfiltration Over Alternative Protocol | Disk Content Wipe |
| Spearphishing Attachment | Control Panel Items | Application Shimming | Bypass User Account Control | CMSTP | Credentials in Files | Network Service Scanning | Lateral Tool Transfer | Data from Network Shared Drive | Data Encoding | Exfiltration Over Command and Control Channel | Disk Structure Wipe |
| Spearphishing Link | Dynamic Data Exchange | Authentication Package | DLL Search Order Hijacking | Code Signing | Credentials in Registry | Network Share Discovery | Pass the Hash | Data from Removable Media | Data Obfuscation | Exfiltration Over Other Network Medium | Endpoint Denial of Service |
| Spearphishing via Service | Execution through API | BITS Jobs | DLL Side-Loading | Compile After Delivery | Exploitation for Credential Access | Network Sniffing | Pass the Ticket | Data Staged | Domain Fronting | Exfiltration Over Web Service | Firmware Corruption |
| Supply Chain Compromise | Execution through Module Load | Bootkit | Elevated Execution with Prompt | Compiled HTML File | Forced Authentication | Password Policy Discovery | Remote Desktop Protocol | Email Collection | Domain Generation Algorithms | Scheduled Transfer | Inhibit System Recovery |
| Trusted Relationship | Exploitation for Client Execution | Browser Extensions | Emond | Component Firmware | Hooking | Peripheral Device Discovery | Remote File Copy | Input Capture | Encrypted Channel | Network Denial of Service | |
| Valid Accounts | Graphical User Interface | Change Default File Association | Exploitation for Privilege Escalation | Component Object Model Hijacking | Input Capture | Permission Groups Discovery | Remote Services | Man in the Browser | Multi-hop Proxy | Resource Hijacking | |
| InstallUtil | Component Firmware | Extra Window Memory Injection | Connection Proxy | Input Prompt | Process Discovery | Replication Through Removable Media | Screen Capture | Multi-Stage Channels | Runtime Data Manipulation | ||
| Launchctl | Component Object Model Hijacking | File System Permissions Weakness | Control Panel Items | Kerberoasting | Query Registry | Shared Webroot | Video Capture | Multiband Communication | Service Stop | ||
| Local Job Scheduling | Create Account | Hooking | DCShadow | Keychain | Remote System Discovery | SSH Hijacking | Multilayer Encryption | Stored Data Manipulation | |||
| LSASS Driver | DLL Search Order Hijacking | Image File Execution Options Injection | Deobfuscate/Decode Files or Information | LLMNR/NBT-NS Poisoning and Relay | Security Software Discovery | Taint Shared Content | Port Knocking | System Shutdown/Reboot | |||
| Mshta | DLL Side-Loading | Launch Daemon | Disabling Security Tools | OS Credential Dumping | Software Discovery | Third-party Software | Remote Access Tools | Transmitted Data Manipulation | |||
| PowerShell | Emond | New Service | DLL Search Order Hijacking | Password Filter DLL | System Information Discovery | Windows Admin Shares | Remote File Copy | ||||
| Regsvcs/Regasm | External Remote Services | Parent PID Spoofing | DLL Side-Loading | Private Keys | System Network Configuration Discovery | Windows Remote Management | Standard Application Layer Protocol | ||||
| Regsvr32 | File System Permissions Weakness | Path Interception | Execution Guardrails | Securityd Memory | System Network Connections Discovery | Standard Cryptographic Protocol | |||||
| Rundll32 | Hidden Files and Directories | Plist Modification | Exploitation for Defense Evasion | Steal Web Session Cookie | System Owner/User Discovery | Standard Non-Application Layer Protocol | |||||
| Scheduled Task | Hooking | Port Monitors | Extra Window Memory Injection | Two-Factor Authentication Interception | System Service Discovery | Uncommonly Used Port | |||||
| Shared Modules | Hypervisor | PowerShell Profile | File and Directory Permissions Modification | System Time Discovery | Web Service | ||||||
| Service Execution | Image File Execution Options Injection | Process Injection | File Deletion | Virtualization/Sandbox Evasion | |||||||
| Signed Binary Proxy Execution | Kernel Modules and Extensions | Scheduled Task | File System Logical Offsets | ||||||||
| Signed Script Proxy Execution | Launch Agent | Service Registry Permissions Weakness | Gatekeeper Bypass | ||||||||
| Source | Launch Daemon | Setuid and Setgid | Group Policy Modification | ||||||||
| Software Deployment Tools | Launchctl | SID-History Injection | Hidden Files and Directories | ||||||||
| Third-party Software | LC_LOAD_DYLIB Addition | Startup Items | Hidden Users | ||||||||
| Trap | Local Job Scheduling | Sudo | Hidden Window | ||||||||
| Trusted Developer Utilities | Login Item | Sudo Caching | Impair Defenses | ||||||||
| User Execution | Logon Scripts | Valid Accounts | Image File Execution Options Injection | ||||||||
| Windows Management Instrumentation | LSASS Driver | Web Shell | Indicator Blocking | ||||||||
| Windows Remote Management | Modify Existing Service | Indicator Removal from Tools | |||||||||
| XSL Script Processing | Netsh Helper DLL | Indicator Removal on Host | |||||||||
| New Service | Indirect Command Execution | ||||||||||
| Office Application Startup | Install Root Certificate | ||||||||||
| Path Interception | InstallUtil | ||||||||||
| Plist Modification | Launchctl | ||||||||||
| Port Knocking | LC_MAIN Hijacking | ||||||||||
| Port Monitors | Masquerading | ||||||||||
| PowerShell Profile | Modify Registry | ||||||||||
| Rc.common | Mshta | ||||||||||
| Re-opened Applications | Network Share Connection Removal | ||||||||||
| Redundant Access | NTFS File Attributes | ||||||||||
| Registry Run Keys / Startup Folder | Obfuscated Files or Information | ||||||||||
| Scheduled Task | Parent PID Spoofing | ||||||||||
| Screensaver | Plist Modification | ||||||||||
| Security Support Provider | Port Knocking | ||||||||||
| Server Software Component | Process Doppelgänging | ||||||||||
| Service Registry Permissions Weakness | Process Hollowing | ||||||||||
| Setuid and Setgid | Process Injection | ||||||||||
| Shortcut Modification | Redundant Access | ||||||||||
| SIP and Trust Provider Hijacking | Regsvcs/Regasm | ||||||||||
| Startup Items | Regsvr32 | ||||||||||
| System Firmware | Rootkit | ||||||||||
| Systemd Service | Rundll32 | ||||||||||
| Time Providers | Scripting | ||||||||||
| Trap | Signed Binary Proxy Execution | ||||||||||
| Valid Accounts | Signed Script Proxy Execution | ||||||||||
| Web Shell | SIP and Trust Provider Hijacking | ||||||||||
| Windows Management Instrumentation Event Subscription | Software Packing | ||||||||||
| Winlogon Helper DLL | Space after Filename | ||||||||||
| Template Injection | |||||||||||
| Timestomp | |||||||||||
| Trusted Developer Utilities | |||||||||||
| Valid Accounts | |||||||||||
| Virtualization/Sandbox Evasion | |||||||||||
| Web Service | |||||||||||
| XSL Script Processing |